Compromission npm Axios : guide de mitigation

Introduction

Microsoft a révélé une grave compromission de la chaîne d’approvisionnement npm affectant Axios, l’une des bibliothèques HTTP JavaScript les plus utilisées. Comme Axios est couramment installé sur les postes de travail des développeurs et dans les pipelines CI/CD, cet incident a de larges implications pour la sécurité de la chaîne d’approvisionnement logicielle dans les environnements Windows, macOS et Linux.

Ce qui s’est passé

Deux versions malveillantes du package Axios ont été publiées le 31 mars 2026 :

• [email protected]
• [email protected]

Selon Microsoft Threat Intelligence, ces versions ont ajouté une dépendance malveillante, [email protected], qui exécutait un script post-install lors de npm install ou des mises à jour du package. Le hook d’installation contactait une infrastructure contrôlée par l’acteur et téléchargeait un cheval de Troie d’accès à distance (RAT) de second niveau.

Microsoft attribue la campagne à Sapphire Sleet, un acteur étatique nord-coréen.

Principaux détails techniques

• Le code source d’Axios lui-même serait resté inchangé.
• Le comportement malveillant a été introduit via une technique d’insertion de dépendance.
• Les environnements affectés incluaient les postes développeur et les systèmes CI/CD.
• Les charges utiles étaient adaptées selon le système d’exploitation :
  • Windows : RAT basé sur PowerShell avec persistance via la clé de registre Run
  • macOS : binaire natif déposé dans /Library/Caches
  • Linux/other : charges utiles de suivi spécifiques à la plateforme
• Le malware communiquait avec une infrastructure malveillante connue liée à Sapphire Sleet.

Pourquoi cela importe pour les équipes IT et sécurité

Cette attaque montre comment des packages open source de confiance peuvent être détournés sans modification évidente de l’application. Même si les applications semblent fonctionner normalement, la compromission peut toujours se produire au moment de l’installation, permettant aux attaquants de voler des secrets, d’établir une persistance et de progresser plus profondément dans les environnements d’entreprise.

Pour les administrateurs, les principaux risques sont :

• Compromission des identifiants et tokens des développeurs
• Exposition de secrets dans les systèmes de build
• Exécution de malware sur les agents CI/CD
• Points d’ancrage persistants sur les appareils Windows gérés

Actions recommandées

Les organisations ayant installé les versions affectées d’Axios doivent agir immédiatement :

1. Revenir à des versions sûres d’Axios :
   • 1.14.0
   • 0.30.3
2. Faire une rotation des secrets et des identifiants susceptibles d’avoir été exposés.
3. Désactiver les mises à jour automatiques pour les packages Axios jusqu’à ce que les environnements soient vérifiés comme sains.
4. Inspecter les systèmes de développement et de build pour détecter des signes de compromission, en particulier les mécanismes de persistance et l’exécution de scripts suspects.
5. Utiliser les détections Microsoft Defender et les conseils de chasse de l’avis Microsoft afin d’identifier les composants malveillants et les hôtes affectés.

En résumé

La compromission npm d’Axios rappelle que la gestion des packages et les pipelines CI/CD sont désormais des surfaces d’attaque majeures. Les équipes sécurité doivent traiter les installations affectées comme de potentielles compromissions d’endpoints et d’identifiants, et non comme un simple problème de package.